Обновление cPGuard за 72 минуты поставило бэкдор почти на 3000 Linux-серверов

Un atacante logró vulnerar la infraestructura de OPSSHIELD, desarrolladora de cPGuard (un software para proteger servidores web contra ataques y malware), para manipular su canal oficial de actualizaciones. El incidente, ocurrido el 2 de noviembre de 2026, permitió que entre las 02:08 y las 03:20 UTC se distribuyeran versiones maliciosas del programa.

El código de ataque se infiltró en las versiones 5.88.12 a 5.88.19 de cPGuard. Al ejecutarse con permisos de administrador (root), el script robaba archivos críticos como /etc/shadow y /etc/passwd (donde se guardan los códigos cifrados de las contraseñas), configuraciones de bases de datos MariaDB/MySQL, el historial de comandos del administrador y llaves de acceso SSH.

La empresa estimó que aproximadamente 2.950 servidores fueron afectados por la actualización falsa. Además, el atacante logró copiar la base de datos del portal de clientes, comprometiendo información de unos 7.900 cuentas, incluyendo nombres, correos electrónicos y contraseñas cifradas.

El método utilizado fue un ataque a la cadena de suministro: el criminal utilizó una cuenta de prueba para acceder al servidor de facturación y licencias, desde donde robó la llave de publicación de actualizaciones. Esto convirtió un canal de confianza en una herramienta de infección.

Qué significa para una pyme colombiana y cucuteña: Si usted utiliza cPGuard para proteger sus servidores o servicios de hosting, debe actuar de inmediato: primero, actualice el programa a la versión 5.88.25 o una superior. Segundo, no basta con borrar el virus; es obligatorio cambiar todas las contraseñas, llaves SSH y tokens de servicios en la nube que estuvieran en ese servidor, ya que los atacantes ya podrían tener copias de sus claves.